İçeriğe atla
Bilgi Merkezi/Makale
Makale

Malware (Zararlı Yazılım) Nedir? Türleri, Trojan ve Korunma

Virüs, solucan, trojan, casus yazılım ve infostealer farkını, zararlı yazılımın nasıl bulaştığını, belirtilerini ve korunma yollarını öğrenin.

Oğuzhan Gerçek··7 dk okuma
Malware (Zararlı Yazılım) Nedir? Türleri, Trojan ve Korunma

Kısa cevap: Malware (zararlı yazılım), bir sisteme gizlice yerleştirilip veriye, uygulamalara ya da işletim sistemine zarar veren yazılımdır. Virüs, solucan (worm), trojan, fidye yazılımı, casus yazılım, rootkit ve bilgi çalan (infostealer) yazılımlar bu şemsiyenin altındaki türlerdir. Çoğunlukla oltalama e-postası, sahte ya da korsan yazılım, yamanmamış bir açık, USB bellek veya tedarik zinciri üzerinden bulaşır. Korunma katmanlarla sağlanır: EDR, düzenli yama, en az yetki, uygulama izin listesi, e-posta filtreleme ve saldırganın ulaşamayacağı yedek.

Malware (zararlı yazılım) nedir?

NIST'in zararlı yazılım rehberi SP 800-83 Rev. 1 malware'i, veriyi yok etmek ya da kurbanın verisinin, uygulamalarının veya işletim sisteminin gizliliğini, bütünlüğünü ya da erişilebilirliğini bozmak için başka bir programın içine gizlice yerleştirilen program olarak tanımlıyor.

Malware, "malicious software" ifadesinin kısaltması ve bir şemsiye terim; virüs onun türlerinden yalnızca biri. Verizon'un 1 Kasım 2024 ile 31 Ekim 2025 arasındaki olayları inceleyen 2026 Veri İhlali Araştırmaları Raporu (DBIR), ihlallerin %64'ünde bir hacking eylemi, %63'ünde de ona eşlik eden bir zararlı yazılım eylemi buldu. Raporun yorumuyla zararlı yazılım içeri girmek için çoğu zaman bir yardıma ihtiyaç duyar. Tehdidin siber güvenlik içindeki yerini ayrıca anlattık.

Zararlı yazılım türleri

  • Virüs: NIST'e göre kendini başka programlara ya da dosyalara ekleyerek çoğalır; etkin olması için taşıyıcı programın çalıştırılması gerekir.
  • Solucan (worm): Kendi başına çalışır ve kullanıcı müdahalesi olmadan ağ üzerinden başka sistemlere kopyalanır; virüsten farkı, taşıyıcı bir programa ihtiyaç duymamasıdır.
  • Fidye yazılımı (ransomware): Dosyaları şifreleyip ödeme ister; DBIR 2026'da ihlallerin %48'inde görüldü. Ayrıntısı fidye yazılımı yazımızda, kısa tanımı sözlükte.
  • Casus yazılım (spyware): Sisteme gizlice kurulur ve kişiler ya da kurumlar hakkında onların haberi olmadan bilgi toplar.
  • Reklam yazılımı (adware): Reklam gösterir. NIST bazı adware türlerini zararlı kod sayıyor; Microsoft ise bunları zararlı yazılım saymadığı "istenmeyebilecek uygulamalar" (PUA) arasına koyuyor.
  • Rootkit: NIST'e göre saldırganın cihazdaki faaliyetini gizleyen ve yönetici (root) erişimini gizlice sürdürmesini sağlayan araç seti. Varlığını gizlemek için yaptığı çok sayıda değişiklik, bulunmasını zorlaştırır.
  • Keylogger: Klavye kullanımını kaydeder. Microsoft'a göre parola çalan zararlılar çoğunlukla bir keylogger ile birlikte çalışır.
  • Botnet ajanı (bot): SP 800-83'e göre bulaştığı cihazı başka sistemlere saldırtmak için kurulur. Bu cihazların oluşturduğu botnet'i DDoS yazımızda ele aldık.

Trojan (Truva atı) nedir?

NIST'in sözlüğüne göre trojan, işe yarar bir işlevi varmış gibi görünen ama güvenlik mekanizmalarını atlatan gizli ve zararlı bir işlev de taşıyan programdır. Adı, NIST'in 2005 tarihli ilk rehberinin belirttiği gibi Yunan mitolojisindeki tahta attan gelir.

Trojan'ı virüsten ve solucandan ayıran şey çoğalmamasıdır; yaygın "trojan virüsü" ifadesi bu yüzden teknik olarak doğru değil. Microsoft'a göre trojan kendi kendine yayılamaz: ya kullanıcı onu indirir ya da başka bir zararlı indirip kurar. Kullanıcıyı kandırmak için çoğunlukla gerçek uygulamaların dosya adlarını taşır.

Kurulan bir trojan başka zararlıları indirebilir, tuş vuruşlarını kaydedebilir, parolaları saldırgana gönderebilir ya da cihazın denetimini ona verebilir. Microsoft'un sınıflandırması bu işlevleri ayrı türler olarak da sayıyor: uzaktan erişim veren arka kapı (backdoor), internetten zararlı indiren downloader ve taşıdığı zararlıyı internete bağlanmadan kuran dropper.

Bilgi çalan, dosyasız ve kripto madencisi zararlılar

Bilgi çalan (infostealer): Microsoft'un incelemesine göre Lumma Stealer, tarayıcılardaki kayıtlı parolaları, oturum çerezlerini ve otomatik doldurma verisini çeken, hizmet olarak kiralanan (malware as a service) bir zararlı. Microsoft, 16 Mart ile 16 Mayıs 2025 arasında Lumma bulaşmış 394.000'i aşkın Windows bilgisayar tespit etti. Microsoft oltalamaya dayanıklı kimlik doğrulama öneriyor; yöntemleri MFA yazımızda karşılaştırdık.

Dosyasız (fileless): Microsoft'a göre tam dosyasız bir zararlı diske hiç dosya yazmaz; komut dosyaları da PowerShell gibi meşru bir yorumlayıcının içinde çalışır. Taranacak dosya olmadığında davranış tabanlı tespit gerekir.

Kripto madencisi (coin miner): Madencilik yoğun işlem gücü ister; kurumda gizlice çalışan bir madenci bu gücü tüketir ve performansı düşürür.

Zararlı yazılım nasıl bulaşır?

  • Oltalama: Zararlı ek ya da bağlantı taşıyan e-posta. Tanıma yollarını phishing yazımızda anlattık.
  • Zararlı indirme: Microsoft'un Lumma incelemesinde sahte arama reklamları, korsan yazılımlar ve kullanıcıyı bir komutu kendi eliyle çalıştırmaya ikna eden sahte CAPTCHA sayfaları (ClickFix) öne çıkıyor. Bir siteyi ziyaret etmek bile yetebilir (ATT&CK T1189).
  • Yamanmamış açık: Exploit, yazılımdaki bir açığı kullanarak cihaza girer. Açıkları kapatma sürecini yama yönetimi yazımızda ele aldık.
  • Çıkarılabilir medya: USB bellek, ağdan yalıtılmış sistemlere bile zararlı taşıyabilir (T1091).
  • Tedarik zinciri: Microsoft'a göre saldırgan meşru bir yazılımın derleme ya da güncelleme sürecine zararlı kod gizler. Güncelleme üreticinin imzasıyla geldiği için güvenilir görünür; üretici bile fark etmeyebilir (T1195).

Zararlı yazılım bulaştığı nasıl anlaşılır?

ABD Federal Ticaret Komisyonu'nun (FTC) listesindeki belirtileri kullanıcı da fark edebilir: yavaşlama, donma ya da çökme; değişen tarayıcı ana sayfası; yeni araç çubukları ve eklentiler; beklenmedik reklamlar; devre dışı kalan Görev Yöneticisi; sizin yazmadığınız e-postalar.

Kurumda kullanıcı gözlemine güvenmek yetmez. SP 800-83'e göre hiçbir belirti tamamen güvenilir değil; en belirgin veri kaynakları antivirüs, saldırı tespit sistemi (IDS) ve SIEM. Rehber, bulaşan cihazların otomatik yöntemlerle bulunmasını istiyor. Uyarıların kimin önüne düştüğünü SIEM ve SOC yazımızda anlattık.

Zararlı yazılımdan korunma yolları

  • EDR: İmzayla çalışan antivirüsle davranışı izleyen EDR arasındaki farkı endpoint güvenliği yazımızda açıkladık; antivirüs ve yönetilen antivirüs terimleri sözlükte.
  • Yama: Exploit'lerin kullandığı açıkları kapatır. Önceliklendirmeyi yama ve güvenlik açığı yönetimi sayfamızda ele alıyoruz.
  • En az yetki: SP 800-83'e göre zararlı yazılım bir açığı kullanmak için çoğunlukla yönetici yetkisine ihtiyaç duyar. Yetki modeli IAM yazımızın konusu.
  • Uygulama izin listesi: NIST SP 800-167 izin listesini, kurumda kullanımına izin verilen uygulamaların listesi olarak tanımlıyor; listede olmayan çalışmaz. CIS Controls v8.1 bunu yazılım, kütüphane ve betikler için ayrı ayrı istiyor (2.5, 2.6, 2.7). Microsoft'a göre güvenlik kurumları bunu çalıştırılabilir dosya tabanlı zararlılara karşı en etkili yollardan biri sayıyor.
  • E-posta filtreleme: SP 800-83, eklerin açılmadan önce taranmasını ve .exe gibi dosya türlerinin e-postada engellenmesini öneriyor. Alan adı doğrulamasını kurumsal e-posta yazımızda ele aldık.
  • Çıkarılabilir medya: CIS, otomatik çalıştırmanın kapatılmasını ve bu medyanın otomatik taranmasını istiyor (10.3, 10.4).
  • Yedek: Temiz bir yedek, cihazı sıfırdan kurmanın yolunu açık tutar; türlerini yedekleme yazımızda bulabilirsiniz.

Zararlı yazılım bulaşırsa ne yapılır?

NIST'in Nisan 2025'te yayımladığı SP 800-61 Rev. 3, olay müdahalesini CSF 2.0'ın işlevlerine bağlıyor: Govern, Identify ve Protect hazırlıktır; müdahalenin kendisi Detect, Respond ve Recover'dır. Zararlı yazılımda üç adım öne çıkar:

  1. Sınırlama (containment): Amaç olayın yayılmasını önlemek. SP 800-83, zararlının kullandığı servisleri engellemeye ve gerekirse cihazları ağdan ayırmaya hazırlıklı olmayı istiyor; sınırlama kullanıcılara bırakılmamalı.
  2. Temizleme (eradication): Zararlı kaldırılır. SP 800-61 Rev. 3'e göre kalıcılık mekanizmalarını ve giriş noktalarını da ortadan kaldırmak gerekebilir.
  3. Kurtarma: SP 800-83, kurtarmanın en kötü senaryolar düşünülerek önceden planlanmasını istiyor; buna cihazı sıfırdan ya da bilinen temiz bir yedekten yeniden kurmak da dahil. FTC de parolaların değiştirilmesini öneriyor.

Fidye yazılımında ilk saatleri fidye yazılımı yazımızda ayrıca ele aldık. 7/24 tespit ve müdahaleyi güvenlik operasyonları sayfamızda anlatıyoruz.

Sık sorulan sorular

Malware ne demek? Malware, İngilizce "malicious software" ifadesinin kısaltmasıdır ve zararlı yazılım demektir. Sisteme zarar vermek ya da veri çalmak için yazılmış programların genel adıdır.

Virüs ile malware arasındaki fark nedir? Malware bütün zararlı yazılımların genel adıdır, virüs ise onun bir türüdür. Virüsü ayıran özellik, kendini başka programlara ya da dosyalara ekleyerek çoğalmasıdır.

Trojan virüsü nedir? Halk arasında trojan virüsü denen yazılım, yararlı bir program gibi görünüp gizli bir zararlı işlev taşıyan trojan'dır. Kendi kendine çoğalmadığı için teknik olarak virüs sayılmaz.

Zararlı yazılım türleri nelerdir? Başlıcaları virüs, solucan, trojan, fidye yazılımı, casus yazılım, adware, rootkit, keylogger, botnet ajanı, dosyasız zararlılar, bilgi çalanlar ve kripto madencileridir.

Bilgisayara zararlı yazılım bulaştığı nasıl anlaşılır? Yavaşlama, değişen tarayıcı ana sayfası, beklenmedik reklamlar ve devre dışı kalan sistem araçları belirti olabilir. Kurumlarda tespit otomatik araçlara dayanmalıdır.

Kaynaklar